A kutatók új módot találtak a felhők elleni támadásra

Az Amazon és a Microsoft a cloud computing szolgáltatásokat olcsó módon kiszélesíti a nyers számítási teljesítmény kiszervezésében, de a termékek olyan új biztonsági problémákat vethetnek fel, amelyeket még nem lehet teljesen feltárni. A Kaliforniai Egyetem, San Diego és a Massachusetts Institute of Technology.

A felhőszolgáltatások pénzt takaríthatnak meg a vállalatok pénzéből, mivel lehetővé teszik számukra új alkalmazások futtatását anélkül, hogy új hardvert kellene vásárolniuk. Az Amazon Elastic Computer Cloud (EC2) szolgáltatásai számos különböző operációs környezetet biztosítanak az egyetlen számítógépen futó virtuális gépekben. Ez lehetővé teszi, hogy az Amazon minden hálózati kiszolgálóból kiszabadítsa a számítástechnikai teljesítményt, de a költségeket a kutatók mondhatják.

Az Amazon EC2 kísérletei során kimutatták, hogy le tudják húzni az ismert verziókat mint mellékcsatorna támadások. Egy oldalsó csatornás támadó a számítógéphez kapcsolódó közvetett információkat - például a képernyőktől vagy a billentyűzetektől származó elektromágneses emanációt - vizsgálja, hogy meghatározza, mi történik a gépben.

[További olvasmány: Hogyan távolítsunk el kártékony programokat a Windows PC]

A kutatók képesek voltak meghatározni az EC2 felhőben futó programok által használt fizikai szervert, majd kivonni a kis mennyiségű adatot ezekből a programokból, elhelyezve saját szoftverüket és elindítva egy oldalsó csatorna támadást. A biztonsági szakértők szerint a kutatók által kifejlesztett támadások csekélyek, de úgy vélik, hogy az oldalcsatornákkal kapcsolatos technikák komolyabb problémákat okozhatnak a felhőalapú számítástechnikában.

Számos felhasználó vonakodik a felhőalapú szolgáltatásoktól a szabályozási aggályok miatt - jobban kezeljék az adatok fizikai elhelyezkedését - de az oldalcsatornás kutatások egy teljesen új problémát jelentenek, állítja Tadayoshi Kohno, a Washington Egyetem informatikai osztályának adjunktusa. "Pontosan ez a fajta aggodalom - az ismeretlen fenyegetése - ez sok mindent fel fog függeni a felhőszolgáltatásoktól, mint például az EC2."

A múltban néhány mellékcsatorna támadás nagyon sikeres. 2001-ben a Kaliforniai Egyetem kutatói, a Berkeley kutatói azt mutatták be, hogyan tudták kiszabadítani a jelszóadatokat egy titkosított SSH (Secure Shell) adatfolyamról statisztikai elemzést végezve arról, hogy a billentyűzetvastagság milyen forgalmat generált a hálózaton.

Az UC és az MIT kutatói nem tudtak olyan kifinomultat elérni, de úgy vélik, hogy munkájuk megnyitja az utat a jövőbeli kutatásokhoz. "A virtuális gép nem bizonyít minden olyan mellékcsatornás támadás ellen, amelyet már évek óta hallottunk" - mondta Stefan Savage, az UC San Diego egyetemi docens és a papír egyik szerzője.

A számítógép memória-gyorsítótárának megtekintésével a kutatók képesek voltak megismerni néhány alapvető információt, amikor ugyanazon a gépen más felhasználók billentyűzetet használtak, például, hogy hozzáférjenek a számítógéphez egy SSH terminál használatával. Úgy vélik, hogy a billentyűleütések közötti idő mérésével végül kideríthették, hogy a gépen ugyanazokat a technikákat írják be, mint a Berkeley-kutatók.

Savage és társai, Thomas Ristenpart, Eran Tromer és Hovav Shacham a cache tevékenység mérése, amikor a számítógép olyan egyszerű feladatokat hajtott végre, mint például egy adott weboldal betöltése. Úgy vélik, hogy ezt a módszert használhatnák olyan dolgok elvégzésére, mint amilyen például az, hogy hány internethasználó látogatta meg a kiszolgálót, vagy még mely oldalakat nézett.

Egyszerű támadások elvégzéséhez a kutatóknak nem csak azt kellett kitalálniuk, melyik EC2 a gép futott a támadni kívánt programon, meg kellett találnia a módját is, hogy saját programot szerezzen rajta. Ezt nem könnyű elvégezni, mert a felhőalapú számítástechnika definíció szerint ezt a fajta információt a felhasználó számára láthatatlanná kell tenni.

De a DNS (Domain Name System) forgalom mélyreható elemzésével és a traceroute nevű hálózatfigyelő eszköz használatával a kutatók képesek voltak olyan technikát kidolgozni, amely 40 százalékos esélyt adhat arra, hogy a támadási kódjukat a Ugyanaz a szerver, mint az áldozatuk. A támadás költsége az EC2-nél csak néhány dollár volt, mondta Savage.

A virtuális gépek jó munkát végezhetnek az operációs rendszerek és programok egymástól való elszigetelésében, de mindig van nyitva ezeknek az oldalcsatornás támadásoknak a rendszereken amelyek megosztják az erőforrásokat - mondta Alex Stamos, az iSEC Partners biztonsági tanácsadó partnere. "Ez egy teljesen új osztályhiba lesz, amelyet az emberek az elkövetkező öt évben meg kell erősíteniük."

A vállalat számos olyan ügyfélgel dolgozott együtt, akik érdeklődnek a cloud computing-tól, de csak akkor, ha biztosak lehetnek abban, hogy senki más nem osztja meg ugyanazt a gépet. "Azt hiszem, a felhő-számítástechnikai szolgáltatókat arra ösztönzik majd ügyfeleik, hogy képesek legyenek fizikai eszközöket biztosítani."

Az Amazon nem volt hajlandó csevegni az oldalcsatornás támadásokról. "Nagyon komolyan veszünk minden biztonsági igényt, és tisztában vagyunk ezzel a kutatással" - mondta egy szóvivő. "Mi vizsgáljuk és frissítéseket küld a biztonsági központunknak."